rundll32.exe c:\windows\system32\comsvcs.dll MiniDump 555 555.dmp full - zapisz zrzut pamięci procesu o ID 555

Biblioteka DLL c:\windows\system32\comsvcs.dll posiada ciekawą funkcję MiniDump, która jest jednym ze sposobów na stworzenie minidumpa procesu. Nie trudno wymyślić, że niegłupim pomysłem byłoby zrobienie zrzuci pamięci procesu lsass.exe w celu wyciągnięcia credentiali użytkowników, co nawet miało niedawno miejsce.

Przykładowe użycie

Ale nie tylko zawartość pamięci procesu lsass.exe może być ciekawa. Jako demonstrację zapiszmy pamięć procesu notatnika, a następnie wykorzystując strings.exe (002a) oraz Select-String (002b) poszukajmy haseł.